ไมโครซอฟต์เตือน ระวังมัลแวร์ "CryptoBandits"
ไมโครซอฟต์เตือน ระวังมัลแวร์ "CryptoBandits" สามารถดูดเงินคริปโตเกลี้ยงกระเป๋าได้
จากรายงานโดยเว็บไซต์ MEXC ได้กล่าวถึงการที่ทางไมโครซอฟท์ได้ออกมาแจ้งเตือนให้ผู้ใช้งาน และนักลงทุนในเหรียญคริปโตเคอร์เรนซี ทำการตรวจสอบหามัลแวร์ประเภท Crypto Clipper ที่มีชื่อว่า "CryptoBandits" หรือ Trojan:Win32/CryptoBandits.A ซึ่งมีความสามารถในการเปลี่ยนที่อยู่กระเป๋าคริปโตเคอร์เรนซีบน Clipboard ทำให้เหยื่อโอนเงินผิดไปยังกระเป๋าของแฮกเกอร์จนเงินหายอย่างไม่รู้ตัว นอกจากความสามารถดังกล่าวแล้ว ตัวมัลแวร์ยังมีความสามารถในการลักลอบขโมยข้อมูลสำหรับกู้กระเป๋าเงินอย่าง Seed Phrases กับกุญแจส่วนบุคคล (Private Key) ที่ตรวจพบบน Clipboard ได้อีกด้วย ซึ่งตัวมัลแวร์นั้นจะทำการสแกนหาข้อมูลดังกล่าวทุก ๆ 500 มิลลิวินาที ทำให้โอกาสที่มัลแวร์จะพลาดข้อมูลสำคัญนั้นมีน้อยมาก โดยข้อมูลที่ถูกเพ่งเล็งโดยมัลแวร์นั้นมีดังนี้
Seed Phrase แบบมาตรฐาน BIP39 ความยาว 12 คำ และ 24 คำ
Private Key ของเหรียญบิทคอยน์ และ อีเธอเรียม
เปลี่ยนแปลงที่อยู่ของกระเป๋าเงินคริปโต ของเหรียญ บิทคอยน์ (แบบ Legacy, P2SH, SegWit, และ Taproot), อีเธอเรียม, ทรอน (Tron), และโมเนโร (Monero) ที่อยู่บน Clipboard ให้เป็นของแฮกเกอร์
นอกจากนั้นยังมีความสามารถอื่น ๆ อีกมากมาย เช่น
การแอบบันทึกภาพหน้าจอ (Screenshot)
การขโมยข้อมูลของเหยื่อแอบส่งออกจากเครื่อง (Exfiltration) ผ่านเครือข่าย TOR
ใช้คำสั่ง (Command) EVAL เพื่อทำการรันโค้ดจากระยะไกล (RCE หรือ Remote Code Execution) แปลงตัวมัลแวร์ให้กลายเป็นมัลแวร์ประตูหลังของระบบ (Backdoor) เพื่อนำไปใช้ในการปล่อยมัลแวร์ประเภทเรียกค่าไถ่ (Ransomware) ลงระบบของเหยื่อ
โดยมัลแวร์ตัวนี้จะแพร่กระจายผ่านไดร์ฟ USB ในรูปแบบไฟล์ Internet Shortcut สกุล LNK ซึ่งหลังจากที่เสียบไดร์ฟที่ติดเชื้อดังกล่าวลงสู่เครื่อง ตัวมัลแวร์จะทำการซ่อนไฟล์เอกสารแบบ Word, Excel, และ PDF แล้วสร้างไฟล์ Shortcut ชื่อเดียวกันขึ้นมาแทน ซึ่งหลังจากเหยื่อหลงคลิกไฟล์ปลอมดังกล่าว เครื่องก็จะติดมัลแวร์และพร้อมแพร่กระจายตัวลงไดร์ฟ USB ตัวอื่น ๆ ที่เสียบเครื่องต่อไป และเพื่อกลบร่องรอยการติดต่อกับเครือข่ายภายนอก การติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) จะกระทำผ่านเครือข่าย TOR ทั้งหมดเช่นเดียวกัน ไม่เพียงเท่านั้น ตัวมัลแวร์ยังใช้วิธีการตั้งเวลาการทำงาน (Task Scheduling) เพื่อรับประกันว่ามัลแวร์จะสามารถรันอยู่บนเครื่องได้ตลอดเวลาอีกด้วย
จากประสบการณ์ของผมที่ติดตามข่าวสารและเทคนิคการป้องกันความปลอดภัยในโลกคริปโต พบว่า Crypto Clipper อย่าง CryptoBandits คือภัยร้ายแรงมากสำหรับนักลงทุนคริปโต เพราะพฤติกรรมของมันที่แอบเปลี่ยนที่อยู่คริปโตใน Clipboard นั้นทำให้ยากจะสังเกตเห็นได้ทันที จนเงินถูกโอนไปยังแฮกเกอร์โดยไม่รู้ตัว โดยปกติผู้ใช้จะทำการคัดลอกที่อยู่กระเป๋าคริปโตเพื่อโอนเงิน ซึ่งมัลแวร์จะเฝ้าตรวจจับที่อยู่บน Clipboard ทุกๆ 500 มิลลิวินาทีแล้วแทนที่ด้วยที่อยู่ของแฮกเกอร์ ทำให้แม้ผู้ใช้จะเชื่อว่ากำลังส่งเงินไปยังที่อยู่ถูกต้องจริง แต่เงินจริงๆ แล้วเงินจะไปตกอยู่ในมือแฮกเกอร์ทันที นอกจากนี้ CryptoBandits ยังสามารถขโมยข้อมูลสำคัญอย่าง Seed Phrase แบบ BIP39 ทั้ง 12 และ 24 คำ และ Private Key ของเหรียญยอดนิยมอย่างบิทคอยน์ อีเธอเรียม ซึ่งข้อมูลเหล่านี้เป็นกุญแจสำคัญในการกู้คืนกระเป๋าเงินคริปโต ทำให้เหยื่อมีความเสี่ยงสูงมากที่จะสูญเสียทรัพย์สินโดยสมบูรณ์ พฤติกรรมแพร่กระจายของมัลแวร์ชนิดนี้ก็อันตรายเช่นกัน โดยมันจะแพร่ผ่าน USB ในรูปแบบไฟล์ Shortcut สกุล .LNK ซึ่งจะซ่อนไฟล์เอกสารปกติและแทนที่ด้วย Shortcut ปลอม หากผู้ใช้เผลอคลิกก็จะติดเชื้อทันที และมัลแวร์ใช้งานเครือข่าย TOR เพื่อปกปิดการสื่อสารกับเซิร์ฟเวอร์ควบคุม ทำให้ยากต่อการตรวจจับ จากที่เคยทดลองใช้มาตรการป้องกันและแนะนำกับคนรู้จัก สิ่งสำคัญคือไม่ควรเสียบ USB จากแหล่งที่ไม่น่าเชื่อถือ และหลีกเลี่ยงการคัดลอกที่อยู่คริปโตโดยตรงผ่าน Clipboard ที่อาจเสี่ยงติดมัลแวร์ การใช้ Wallet หรือ Extension ที่มีฟีเจอร์ตรวจสอบที่อยู่เป้าหมายรวมถึงการยืนยันที่อยู่ก่อนโอน เมื่อพบสิ่งผิดปกติควรรีบสแกนคอมพิวเตอร์ด้วยโปรแกรมแอนตี้มัลแวร์ที่อัพเดตล่าสุด การได้รับแจ้งเตือนจากไมโครซอฟต์และเว็บ MEXC ถือเป็นสัญญาณเตือนที่ดี นั่นแปลว่าผู้ใช้คริปโตควรตื่นตัวและติดตามข่าวสารด้านความปลอดภัยอย่างสม่ำเสมอ เพื่อปกป้องทรัพย์สินดิจิทัลจากภัยคุกคามที่แอบแฝงในทุกขั้นตอนของการทำธุรกรรมคริปโต
